CD nº 9/2022 — Guia Cookies e a LGPD

Página 1

PRESIDÊNCIA DA REPÚBLICA PR/PROTOCOLO/ANPD/DIR/MW/ANPD

VOTO Nº 6/2022/ANPD/MW/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000313/2022-19 INTERESSADO: Autoridade Nacional de Proteção de Dados - ANPD

DIRETORA MIRIAM WIMMER l. ASSUNTO

1. Guia - Cookies e a LGPD.

1. EMENTA

GUIA. COOKIES E A LGPD. APROVAÇÃO DA MINUTA DE GUIA, COM SUGESTÕES DE ALTERAÇÃO.

1. RELATÓRIO

1. Trata-se de minuta de Guia, com o tema “Cookies e a LGPD”, encaminhada ao Conselho Diretor pela Coordenação-Geral de Normatização (CGN).

3.2. Conforme o Termo de Abertura de Projeto (TAP) (SEI nº 3189233), a equipe de projeto foi

constituída por servidores da CGN e outros que manifestaram interesse, tendo por objetivo “elaborar guia orientativo sobre Cookies e Proteção de Dados Pessoais, a fim de disponibilizar orientações, a partir de estudo exploratório realizado pelo Grupo de Trabalho (GT Cookies), quanto à coleta de dados pessoais por meio de cookies”.

3.3. Após a elaboração de uma versão preliminar do Guia, foi realizada consulta interna entre 03/06/2022 e 17/06/2022, conforme descrito na Nota Técnica nº 27/2022/CGN/ANPD (SEI nº 3453992).

3.4. Após os devidos ajustes, a minuta (SEI nº 3455874) foi submetida à Procuradoria (nova denominação da Assessoria Jurídica, conforme o art. 55-C, V, da LGPD, com redação dada pela Medida Provisória nº 1.1242022), que se manifestou pela legalidade do ato normativo, apresentando recomendações de alteração, conforme exposto na Nota n. 00007/2022/GAB/ASJUR- ANPD/CGU/AGU (SEI nº 3489605).

3.5. A CGN analisou as recomendações da Procuradoria e efetuou novas alterações na minuta (SEI nº 3500523), nos termos da justificativa apresentada na Nota Técnica nº 30/2022/CGN/ANPD (SEI nº 3500376).

3.6. Vale registrar que tramitam relacionados aos presentes autos dois processos. O primeiro (000261.000005/2021-02) trata do OFÍCIO Nº 6/2022/CGTP/ANPD/PR (SEI nº 3368186), por meio do qual o Presidente da ANPD encaminhou à Secretaria de Governo Digital, em maio deste ano, recomendações específicas para a adequação do Portal Gov.br à LGPD, no tocante aos procedimentos de coleta de dados pessoais por meio de cookies.

3.7. No segundo processo (00001.006312/2022-31), foi juntado o Ofício NUDECON/PDP nº 11/2022 (3522099), de 25 de julho de 2022, por meio do qual a Defensoria Pública Geral do Estado do Rio de Janeiro sugere que a ANPD estabeleça padrões para a disponibilização de informações acerca da utilização de cookies pelas aplicações de internet, seguindo uma estrutura mínima, cujo conteúdo foi apresentado no próprio ofício.

3.8. O processo foi distribuído a este Gabinete após sorteio realizado no dia 21 de julho de 2022, conforme certificado nos autos (SEI nº 3514975), para que seja relatada a matéria perante o Conselho Diretor.

Página 2

1. ANÁLISE I. Aspectos formais

4.1. Inicialmente, verifico que foram observados os procedimentos aplicáveis à hipótese, de modo que a instauração e a instrução do processo obedeceram às disposições regimentais, havendo a necessária motivação para a edição do Guia.

4.2. Em razão de seu caráter não vinculante aos administrados, o Guia Orientativo segue procedimento mais simples de aprovação do que aquele aplicável aos atos normativos editados pela ANPD. Assim, por exemplo, não se demonstra obrigatória a previsão na agenda regulatória, a realização de consulta à sociedade ou a elaboração de análise de impacto regulatório.

4.3. Não obstante, é necessária a observância dos trâmites usuais para a aprovação de matérias pelo Conselho Diretor, particularmente a motivação técnica (apresentada nas duas Notas Técnicas elaboradas pela CGN, SEI nº 3453992 e nº 3500376) e a análise jurídica (realizada pela Procuradoria, conforme a Nota n. 00007/2022/GAB/ASJUR-ANPD/CGU/AGU, SEI nº 3489605).

4.4. Por outro lado, verifica-se que a edição de Guia Orientativo atende às determinações da LGPD (art. 55-J, VI, VIH e VII, que atribuem à ANPD competência para “promover na população o conhecimento das normas e das politicas públicas sobre proteção de dados pessoais”, “promover e elaborar estudos sobre as práticas nacionais e internacionais de proteção de dados pessoais e privacidade” e “estimular a adoção de padrões para serviços e produtos que facilitem o exercício de controle dos titulares sobre seus dados pessoais”.

4.5. De forma mais específica, o Regimento Interno (art. 16, II) confere à CGN competência para “elaborar guias e recomendações, bem como proposições normativas, orientações e procedimentos simplificados nos termos da Lei nº 13.709, de 2018, a serem submetidas à aprovação pelo Conselho Diretor”.

4.6. Importante considerar que a elaboração de Guias Orientativos é prática comum e disseminada em outras jurisdições, a exemplo da União Europeia. Também a ANPD já publicou diversos Guias Orientativos, sobre temas variados, que incluem a proteção de dados pessoais no contexto eleitoral e o tratamento de dados pessoais pelo Poder Público.

4.7. Trata-se, nesse sentido, de documento de orientação e de recomendação, que serve ao propósito de esclarecer dúvidas e apresentar de forma transparente os principais entendimentos da Autoridade de proteção de dados pessoais sobre pontos relevantes atinentes à legislação em vigor. Com isso, promove-se a cultura da proteção de dados pessoais e a previsibilidade e a segurança jurídicas no ambiente regulado, além de incentivar os agentes de tratamento a adotar práticas aderentes à legislação, em conformidade com o princípio da responsabilização e prestação de contas.

4.8. Dessa forma, verificado o atendimento aos requisitos formais aplicáveis, bem como a adequação do Guia Orientativo ao propósito de disponibilizar orientações quanto à coleta de dados pessoais por meio de cookies, passo à análise de mérito da minuta.

II. Análise de mérito

4.9. Com o avanço da digitalização, proporcionado, entre outros fatores, pela disseminação do acesso à internet e aos dispositivos móveis inteligentes, ampliaram-se sobremaneira as possibilidades de rastreamento de usuários e de titulares de dados pessoais no ambiente online. O tema ganhou projeção para além da comunidade de especialistas, de modo que usuários comuns estão habituados a lidar com situações como a necessidade de conceder permissão para a coleta de seus dados pessoais por aplicativos e a exibição de anúncios que “perseguem” o usuário em qualquer página que acessa na rede.

4.10. Como é usual no processo de inovação, novas tecnologias proporcionam inúmeros benefícios, porém, podem também impor custos e riscos aos seus usuários, que precisam ser ponderados e avaliados pelas autoridades competentes.

4.11. Assim, por exemplo, pequenas empresas podem anunciar, com relativa facilidade, seus produtos e serviços em páginas eletrônicas, definindo um público segmentado por determinadas características, o que lhes permite conferir maior alcance aos seus negócios e obter maior aproximação com seus consumidores, os quais, por sua vez, também podem ter acesso a serviços relevantes prestados

Página 3

de forma gratuita e a anúncios definidos de acordo com seus interesses. Ao mesmo tempo, dada a complexidade das novas tecnologias e o seu constante processo de transformação, usuários se veem inseridos em situações de maior vulnerabilidade, especialmente em face da assimetria de informação com grandes provedores de aplicações de internet, que respondem pelo tratamento de uma quantidade massiva de dados pessoais.

4.12. No caso específico do uso de cookies, tem-se uma tecnologia relativamente simples, que consiste na instalação de pequenos arquivos no dispositivo do usuário para atender a diversas finalidades, algumas delas essenciais para o próprio funcionamento de aplicativos e páginas eletrônicas. É o caso da funcionalidade de gravar opções efetuadas pelo usuário, a exemplo de um produto inserido em um carrinho de compras online ou de sua preferência por acessar uma determinada página em português. A medição de audiência de uma página eletrônica e a formação de perfis comportamentais para fins publicitários são outras finalidades relevantes viabilizadas pelo uso de cookies.

4.13. Como destaca o Information Commissioner’s Office (ICO), autoridade de proteção de dados do Reino Unido, o propósito inicial dos cookies era o de manter registro sobre as preferências de um usuário apenas em relação a uma página eletrônica específica, como em sites de e-commerce. Ainda segundo o ICO:

A Internet Engineering Taskforce (IETF) publicou a especificação original para cookies (RFC 2109) em fevereiro de 1997. Esta afirmava que os cookies devem corresponder ao URL que o indivíduo vê em seu navegador. Por outras palavras, os cookies foram originalmente destinados a serem utilizados apenas para rastrear a atividade de uma pessoa no site visitado. A especificação também mencionava que o usuário deveria ter “controle considerável” sobre o gerenciamento de cookies por “razões de privacidade”. À medida que a internet e seu papel em nossas vidas evoluíram, também evoluíram as abordagens para identificar, rastrear, criar perfis e segmentar usuários individuais. O uso de cookies evoluiu de sua finalidade original para um veículo de coleta e tratamento de volumes significativos de informações de dispositivos eletrônicos e de dados de natureza altamente pessoal. A evolução dos cookies e sua destinação para a publicidade direcionada é um alerta sobre os riscos de redirecionar a tecnologia para novos fins sem também construir salvaguardas para a proteção contra danos e usos indevidos. (ICO. Data protection and

privacy expectations for online advertising proposals, nov. 2021, p. 19-20).

4.14. O fato é que o uso de cookies desempenha um papel essencial em todo o ecossistema digital baseado em dados pessoais, em particular no que concerne à publicidade segmentada, trazendo, no entanto, riscos à privacidade e à proteção de dados pessoais de titulares. Por isso, revela-se crucial que os benefícios gerados pelos cookies e tecnologias similares de rastreamento sejam acompanhados por um uso responsável, compatível com princípios básicos previstos na legislação em vigor, tais como transparência e

autodeterminação informativa.

4.15. Diante desse cenário, revela-se conveniente e oportuna a edição do Guia Orientativo “Cookies e a LGPD”. De fato, a publicação de orientações aos regulados constitui um primeiro, porém relevante passo para fortalecer a cultura da proteção de dados pessoais no ambiente digital e incentivar a adoção de boas práticas, que promovam a transparência das informações prestadas pelos controladores aos titulares e, consequentemente, o empoderamento destes.

4.16. Importante mencionar que a iniciativa da ANPD se soma a de autoridades de proteção de dados de outros países, que têm dedicado esforços significativos para ampliar a proteção da privacidade de titulares no ambiente digital. Na França, por exemplo, a Commission Nationale de “‘Informatique et des Libertês - CNIL publicou uma série de recomendações e diretrizes sobre o uso de cookies nos últimos anos (CNIL 1), tema que também integrou a lista de temas prioritários para a atuação de fiscalização da autoridade francesa no ano de 2021 (CNIL IN). Por sua vez, a Agencia Espafiola de Protección de Datos - AEPD publicou, recentemente, uma versão atualizada de seu Guia sobre o uso de cookies (AEPD). Já o ICO publicou um Guia sobre o o uso de cookies e tecnologias similares (Guia Cookies ICO), além de um amplo estudo, já citado, sobre iniciativas que propõem substituir o uso de cookies por tecnologias menos invasivas à privacidade dos titulares (Data protection and privacy expectations for online advertisin

proposals). Posteriormente, junto com a Competition Market Authority (CMA), o ICO firmou um acordo com o Google a fim de assegurar que, entre outros objetivos, o chamado “Privacy Sandbox”, tecnologia em desenvolvimento pela empresa e que deve substituir o uso de cookies de terceiros, observe a legislação de proteção de dados (ICO CMA Privacy Sandbox). Todas essas iniciativas demonstram a relevância e a atualidade do tema, indicando que a publicação de um Guia pela ANPD segue as tendências internacionais

Página 4

em torno do assunto.

4.17. Quanto ao conteúdo, o Guia está dividido em quatro seções: (1) conceito e classificações; (11) cookies e a LGPD; (iii) políticas de cookies; e (iv) banners de cookies.

4.18. A primeira apresenta as definições mais usuais de cookies, classificando-os de acordo com a entidade responsável pela sua gestão, a necessidade, a finalidade e o período de retenção das informações.

4.19. A segunda seção aborda as principais normas da LGPD aplicáveis ao tratamento de dados pessoais coletados por meio de cookies, incluindo análise das duas bases legais mais comuns, isto é, consentimento e legítimo interesse.

4.20. As seções três e quatro trazem exemplos e orientações práticas, incluindo imagens ilustrativas sobre a elaboração da politica de cookies e dos banners de cookies. Assim, entre outras recomendações, o Guia orienta que o banner de primeiro nível contenha botão de fácil visualização, que permita rejeitar todos os cookies não necessários. Já o banner de segundo nível deve descrever as categorias de cookies de acordo com suas finalidades e desativar os cookies baseados no consentimento por padrão.

1. Em suma, o Guia apresenta orientações e recomendações importantes para a adequação de agentes de tratamento às disposições da LGPD, tomando por base as melhores práticas utilizadas no ambiente digital e as disposições da LGPD aplicáveis, razão pela qual entendo pertinente a continuidade do procedimento de deliberação, com a consequente submissão do presente voto e da versão revista e consolidada do Guia à apreciação dos demais membros do colegiado.

4.22. Ressalto que realizei ajustes formais no Guia, com o objetivo de aprimorar a redação, reforçar argumentos e facilitar a sua compreensão pelos administrados, conforme se pode verificar na versão com marcas de revisão anexada ao processo (SEI nº 3677225). Também foi juntada aos autos a versão final e consolidada da minuta (SEI nº 3677268).

1. VOTO

5.1. Diante de todo o exposto, voto pela aprovação do Guia Orientativo - Cookies e a LGPD, nos termos da minuta revista e consolidada anexada aos autos (SEI nº 3677268), em conformidade

com os dispositivos pertinentes da LGPD e do Regimento Interno.

5.2. Considerando a relevância da matéria e a premente necessidade de expedir orientações sobre o tema, proponho a votação por meio de circuito deliberativo, nos termos do $ 1º do art. 40, do Regimento Interno.

5.3. Por fim, solicito à Secretaria-Geral que, após a aprovação do Guia, providencie a juntada da versão final do documento aos processos 000261.000005/2021-02 e 00001.006312/2022-31, sugerindo-se o seu posterior encaminhamento, respectivamente, à Secretaria de Governo Digital e à Defensoria Pública do Estado do Rio de Janeiro, mediante Ofício do Presidente da ANPD.

5.4. É como voto.

MIRIAM WIMMER

Diretora Relatora

+ Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 06/10/2022, às 16:41,

conforme horário oficial de Brasília, com fundamento no $ 3º do art. 4º, do Decreto nº 10.543, de 13 de

NE * novembro de 2020.

• A autenticidade do documento pode ser conferida informando o código verificador 3539869 e o código

CRC 707832BC no site:

https://super.presidencia.gov.br/controlador externo.php? acao=documento conferir&id orgao acesso externo=0

Página 5

Referência: Processo nº 00261.000313/2022-19 SEI nº 3539869

Página 6

PRESIDÊNCIA DA REPÚBLICA PR/PROTOCOLO/ANPD/DIR/NR/ANPD

VOTO Nº 6/2022/ANPD/JR/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000313/2022-19 INTERESSADO: Autoridade Nacional de Proteção de Dados (ANPD)

VOTO EM CIRCUITO DELIBERATIVO Nº 09/2022 DIRETOR JOACIL RAEL

ASSUNTO: Guia - Cookies e a LGPD.

Voto no Circuito Deliberativo:

X Acampanho a Relatora (VOTO Nº 6/2022/ANPD/MW/DIR/ANPD/PROTOCOLO/PR, SEI nº 3539869)

vã acompanho o Relator, nos termos do Voto indicado a seguir:

N Documento assinado eletronicamente por Joacil Basilio Rael, Diretor(a), em 10/10/2022, às 17:09,

conforme horário oficial de Brasília, com fundamento no $ 3º do art. 4º, do Decreto nº 10.543, de 13 de

[= a = . . a https:// super.presidencia.gov.br/controlador externo.php? Ko acao=documento conferir&id orgao acesso externo=0

Referência: Processo nº 00261.000313/2022-19

SEI nº 3680031

Página 7

PRESIDÊNCIA DA REPÚBLICA PR/PROTOCOLO/ANPD/DIR/NR/ANPD

VOTO Nº 11/2022/ANPD/AS/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000313/2022-19

INTERESSADO: AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD) VOTO EM CIRCUITO DELIBERATIVO Nº 06/2022 DIRETOR ARTHUR SABBAT

ASSUNTO: Guia de Cookies e Proteção de Dados Pessoais

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do $ 1º do art. 28 do Regimento Interno:

Concordo com a redução do prazo

ão concordo com a redução do prazo x vão aplicável à hipótese

vol no Circuito Deliberativo:

x compana a Relatora (VOTO Nº 6/2022/ANPD/MW/DIR/ANPD/PROTOCOLO/PR, SEI nº 3539869) io acompanho o Relator, nos termos do Voto indicado a seguir:

” 1

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a), em 07/10/2022, às / 15:29, conforme horário oficial de Brasília, com fundamento no $ 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020.

Página 8

] https://super.presidencia.gov.br/controlador externo.php? acao=documento conferir&id orgao acesso externo=Ô

Referência: Processo nº 00261.000313/2022-19 SEI nº 3680151

Página 9

PRESIDÊNCIA DA REPÚBLICA PR/PROTOCOLO/ANPD/NR/ANPD

VOTO Nº 9/2022/ANPD/NR/DIR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000313/2022-19

INTERESSADO: Autoridade Nacional de Proteção de Dados ASSUNTO: Guia - Cookies e a LGPD

VOTO EM CIRCUITO DELIBERATIVO

DIRETORA NAIRANE FARIAS RABELO LEITÃO

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do $ 1º do art. 41 do Regimento Interno:

Concordo com a redução do prazo

Não concordo com a redução do prazo

Não aplicável à hipótese

Voto no Circuito Deliberativo:

IX

Acompanho a Relatora (VOTO Nº 6/2022/ANPD/MW/DIR/ANPD/PROTOCOLO/PR, SEI nº 3539869)

Não acompanho o Relator, nos termos do Voto indicado a seguir:

/ fundamento no $ 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020 .

) Documento assinado eletronicamente por Nairane Farias Rabelo Leitão, Diretor(a), em 07/10/2022, às 16:47, conforme horário oficial de Brasília, com

=: À autenticidade do documento pode ser conferida informando o código verificador 3680325 e o código CRC 6ADB1E81 no site: https://super.presidencia.gov.br/controlador externo.php?acao=documento conferir&id orgao acesso externo=0

Referência: Processo nº 00261.000313/2022-19

SEI nº 3680325

Página 10

PRESIDÊNCIA DA REPÚBLICA PR/PROTOCOLO/ANPD/NR/ANPD

VOTO Nº 10/2022/ANPD/GABPR/ANPD/PROTOCOLO/PR

PROCESSO Nº 00261.000313/2022-19

INTERESSADO: Autoridade Nacional de Proteção de Dados ASSUNTO: Guia - Cookies e a LGPD

VOTO EM CIRCUITO DELIBERATIVO

DIRETOR-PRESIDENTE

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do $ 1º do art. 41 do Regimento Interno:

Concordo com a redução do prazo

Não concordo com a redução do prazo

X [Não aplicável à hipótese

Voto no Circuito Deliberativo:

IX [Acompanho a Relatora (VOTO Nº 6/2022/ANPD/MW/DIR/ANPD/PROTOCOLO/PR, SEI nº 3539869)

Não acompanho o Relator, nos termos do Voto indicado a seguir:

/ Brasília, com fundamento no $ 3º do art. 4º, do Decreto nº 10.543, de 13 de novembro de 2020 .

) Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor-Presidente, em 11/10/2022, às 12:13, conforme horário oficial de

Referência: Processo nº 00261.000313/2022-19

SEI nº 3686060